移动飞信android行为简单分析.doc

手机飞信行为简单分析 谌侃实验环境 Android 4.0.3 Fetion for Android V 4.0.0 Wireshark 基本理论： 飞信初始化先向服务器40 的http服务器进行post，获取系统设置信息。系统将返回各自服务的服务器地址及端口。 飞信的数据包都为TCP包，使用8000端口，所有数据在一条连接上。 因为是TCP包，因此会产生ACK包，即每次发送接收都为2个包，同时丢弃包的策略不在可行，或许可以尝试修改包的欺骗方式。 手机飞信的每个包出事两个字节，都是表示数据包字节数。 数据结构 以分隔符开始，分隔符结束，通常以00开始，00结束，分隔符包括 00,01,14,13,1a,19 前两个字节表示包长度。 分隔符1A 后面跟随 用户id 如 飞信id或手机号 分隔符 00 15表示 发送 00 95表示响应 + 目的地 分隔符 09 后面跟随相应的参数 如 09 1F Digest *** 09 1A + 用户id 分隔符 00 13 表示包序号？待定 其余待定 如 00 5e 00 15 06 09 01 13 31 00 09 1a 3c 31 35 39 .^...... 1...159 30 31 35 30 35 34 37 32 3e 3b 69 64 2d 74 79 70 ;id-typ 65 3d 6d 6f 62 69 6c 65 00 15 30 00 26 74 79 70 e=mobile ..0.typ 65 3d 22 41 6e 64 72 6f 69 64 22 2c 76 65 72 73 e=Andro id,vers 69 6f 6e 3d 22 34 2e 30 2e 30 22 00 27 32 39 31 ion=4.0 .0.291 35 33 33 32 37 32 39 35 38 33 00 14 33 00 83..3. 包结构应该是 00 5e 数据大小为 94 字节 00 15 06 15表示发送 09 01 13 31 00 09 1a 3c 31 35 39 30 31 35 30 35 34 37 32 3e 3b 69 …. 30 手机号，idtype.. 00 15 30 00 26 74 79 90 …. Type … 00 27 32 39 31 …. 随机数 00 14 33 00 结束符 具体行为分析：（所有数字均为16进制，即71为0x71） 登陆 post /mnav/getnetSystemconfig.aspx 获取到各个服务器信息主要smartphone-adapter44:8000/smartphone-adapter 接下来的所有消息都是在上面ip和端口下进行 登陆是通过HTTP Digest authentication 进行 登陆行为第一个包是移动端向服务器请求认证，（00 15），提供用户的id（id跟在十六进制1a之后，手机号的格式，前后加,飞信号则直接使用号码）,type（飞信所在系统版本，android或iphone）,version（飞信版本号），随机数。 服务器接收请求后，会想移动端发出认证响应（00 95），提供用户的id（id跟在十六进制1a之后，手机号的格式，前后加,飞信号则直接使用号码）, Digest algorithm, nonce以及时间。 移动端，继续向服务器进行请求（00 15），可能包含用户id ，但是一定包含认证相关信息，Digest， response。同时提交用户相关的信息，如 combinezlib，飞信版本号，手机信息，imsi，imei等信息。 并传递 v4default 等信息，请求获取用户列表等信息。 认证通过后，服务器进行相应（00 95）， 包含 SyncUserInfo 。 之后，服务器向移动端发送相关用户信息（加密）。 服务器返回包 主动聊天（发出） 通过SIP协议 在移动客户端中限制字符个数最多400字（中英文字符均400）同时，发